Η ομάδα Παγκόσμιας Έρευνας και Ανάλυσης της Kaspersky (GReAT) αποκάλυψε μια κακόβουλη παγκόσμια εκστρατεία, στην οποία οι επιτιθέμενοι χρησιμοποίησαν το Telegram για να διανείμουν Trojan spyware, στοχοποιώντας πιθανώς άτομα και επιχειρήσεις που δραστηριοποιούνται στους τομείς της fintech και του trading. Το κακόβουλο αυτό λογισμικό έχει σχεδιαστεί για να κλέβει ευαίσθητα δεδομένα, όπως κωδικούς πρόσβασης, και να αποκτά τον έλεγχο των συσκευών των χρηστών για σκοπούς κατασκοπείας.
Θεωρείται ότι η εκστρατεία συνδέεται με το DeathStalker, έναν γνωστό APT (Advanced Persistent Threat) φορέα επιθέσεων διαθέσιμο προς ενοικίαση, που προσφέρει εξειδικευμένες υπηρεσίες hacking και οικονομικής κατασκοπείας. Στο πρόσφατο κύμα επιθέσεων που παρατήρησε η Kaspersky, οι κυβερνοεγκληματίες επιχείρησαν να μολύνουν τα θύματα με το κακόβουλο λογισμικό DarkMe – ένα Trojan απομακρυσμένης πρόσβασης (RAT), σχεδιασμένο να κλέβει πληροφορίες και να εκτελεί απομακρυσμένες εντολές από έναν server που ελέγχεται από τους δράστες.
Οι επιτήδειοι που κρύβονται πίσω από την εκστρατεία φαίνεται ότι στοχεύουν θύματα στους τομείς του trading και της fintech, αφού σύμφωνα με τεχνικούς δείκτες, η διανομή του κακόβουλου λογισμικού πραγματοποιήθηκε πιθανώς μέσω καναλιών του Telegram με επίκεντρο τα πεδία αυτά. Η εκστρατεία είχε παγκόσμιο χαρακτήρα, καθώς η Kaspersky εντόπισε θύματα σε περισσότερες από 20 χώρες στην Ευρώπη, την Ασία, τη Λατινική Αμερική και τη Μέση Ανατολή.
Η ανάλυση της αλληλουχίας της μόλυνσης αποκαλύπτει ότι οι επιτιθέμενοι πιθανότατα επισύναπταν κακόβουλα αρχεία σε αναρτήσεις σε κανάλια του Telegram. Τα ίδια τα αρχεία, όπως RAR ή ZIP, δεν ήταν κακόβουλα, αλλά περιείχαν βλαβερά αρχεία με επεκτάσεις όπως .LNK, .com και .cmd. Εάν τα εν δυνάμει θύματα εκκινούσαν αυτά τα αρχεία, αυτό οδηγούσε στην εγκατάσταση του τελικού κακόβουλου λογισμικού DarkMe, μέσω μιας σειράς ενεργειών.
«Αντί για παραδοσιακές μεθόδους phishing, οι επιτήδειοι βασίστηκαν σε κανάλια του Telegram για να διανείμουν το κακόβουλο λογισμικό. Σε προηγούμενες εκστρατείες, παρατηρήσαμε την ίδια τακτική να χρησιμοποιεί και άλλες πλατφόρμες για μηνύματα, όπως το Skype, ως μέσα για την αρχική μόλυνση. Αυτή η μέθοδος μπορεί να καταστήσει τα πιθανά θύματα πιο επιρρεπή στο να εμπιστευτούν τον αποστολέα και να ανοίξουν το κακόβουλο αρχείο, σε σύγκριση με έναν ιστότοπο phishing. Η λήψη αρχείων μέσω εφαρμογών messaging μπορεί επίσης να παράγει λιγότερες προειδοποιήσεις ασφαλείας σε σύγκριση με τις τυπικές λήψεις από το διαδίκτυο, κάτι που ευνοεί τους επιτήδειους», εξηγεί ο Maher Yamout, επικεφαλής ερευνητής ασφάλειας της GReAT. «Ενώ συνήθως συμβουλεύουμε να είστε σε επιφυλακή για ύποπτα emails και συνδέσμους, αυτή η εκστρατεία υπογραμμίζει την ανάγκη για προσοχή και κατά την αλληλεπίδραση μέσω εφαρμογών μηνυμάτων, όπως το Skype και το Telegram».
Εκτός από τη χρήση του Telegram για τη διανομή του κακόβουλου λογισμικού, οι επιτιθέμενοι φρόντισαν να βελτιώσουν την επιχειρησιακή τους ασφάλεια και να καλύψουν τα ίχνη τους μετά την παραβίαση. Μετά την εγκατάσταση, το κακόβουλο λογισμικό διέγραψε τα αρχεία που χρησιμοποιήθηκαν για την ανάπτυξη του εμφυτεύματος DarkMe. Για να εμποδίσουν περαιτέρω την ανάλυση και την ανίχνευση, αφού πέτυχαν τον στόχο τους, οι δράστες αύξησαν το μέγεθος του αρχείου του εμφυτεύματος και διέγραψαν άλλα ίχνη, όπως αρχεία που προκύπτουν μετά την εκμετάλλευση, εργαλεία και κωδικούς μητρώου.
